Powierzchnia ataku

Nie da się chronić wszystkiego z jednakową intensywnością. Można jednak wiedzieć, co mamy, gdzie to jest i jak wpływa na nasz biznes. O zasobach, rejestrach i kompromisach w cyberbezpieczeństwie.

> Ale jak to? Mamy regularnie wypełniać rejestry obejmujące wszystko, co mamy? Nie tylko oprogramowanie i infrastrukturę, ale też ludzi, procesy, a nawet licencje? Przecież to niewykonalne. I bardzo kosztowne. Ataki zdarzają się raz na X lat i zazwyczaj nie są groźne… ## Zanim wyjdziemy na boisko Jak do starcia z rywalem przygotowują się piłkarze? Analizują przeciwnika i jego ustawienie w meczach z innymi drużynami. Opracowują strategię: ofensywną, defensywną albo mieszaną. Dostosowują trening fizyczny do potrzeb danego wydarzenia. Robią też coś jeszcze: **drobiazgowo identyfikują, klasyfikują i kategoryzują dostępne zasoby**. Nie zawsze po to, aby wygrać. Czasem chodzi o obronę punktów. Co to ma wspólnego z cyberbezpieczeństwem i projektami AI? Całkiem sporo. Jak wspomniałem w [wcześniejszym felietonie o powierzchni ataku](https://www.linkedin.com/pulse/gdzie-jest-tw%C3%B3j-s%C5%82aby-punkt-powierzchnia-ataku-czyli-nowakowski-phd-n0k1f/), poszukiwanie naszych słabszych punktów to element budowania odporności. Czy różni się to istotnie od przygotowań do meczu piłkarskiego? Zanim przejdziemy dalej, krótkie przypomnienie: zapiszcie się do newslettera na [stronie głównej](/) i zajrzyjcie na [Cyberszlif](https://www.cyberszlif.pl/). A teraz wracamy do tematu. ## Zarządzanie zasobami: także w przepisach To, o czym będziemy rozmawiać, to szerokie zagadnienie **zarządzania zasobami**. Znajdziecie je w: - **ustawie o krajowym systemie cyberbezpieczeństwa** (art. 8 ust. 1 pkt 2 lit. m oraz pkt 3); - **rozporządzeniu w sprawie sztucznej inteligencji** (art. 17 ust. 1 lit. l) - dla dostawców systemów wysokiego ryzyka; - **rozporządzeniu w sprawie operacyjnej odporności cyfrowej sektora finansowego** (art. 8 i następne). ## Powierzchnia ataku to nie tylko infrastruktura **Powierzchnia ataku to wszystko, co może posłużyć atakującemu do obejścia naszych zabezpieczeń i zrealizowania celów**, które rzadko pokrywają się z naszymi. Może nią być infrastruktura lub oprogramowanie, ale także ludzie i procesy, które stają się słabszym punktem. W organizacji średniej wielkości powierzchnia ataku może liczyć kilkadziesiąt tysięcy lub więcej punktów możliwych do wykorzystania jako wejście do organizacji. Zaliczamy do nich również konta, lepiej lub gorzej zabezpieczone. Niemożliwe do zaopiekowania, prawda? W pełnym zakresie i z jednakową intensywnością: prawda. Dlatego zarządzanie bezpieczeństwem informacji opiera się na trzech rzeczach: - **efektywnym zarządzaniu budżetem**; - **zarządzaniu ryzykiem**; - **kompromisach**. Nie jesteśmy w stanie zajmować się wszystkim w takim samym zakresie. Nasze zasoby są ograniczone. Dotyczy to nie tylko mało elastycznego budżetu, lecz także ludzi, ich czasu i kompetencji. ## Wiedzieć, co mamy i gdzie to jest A skoro mowa o zasobach: **znajomość tego, co mamy, gdzie to jest i jak wpływa na nasz biznes, jest kluczowa** dla zdolności odpierania zagrożeń. Ta wiedza pozwala też odpowiednio zarządzać ryzykiem, na przykład w ramach systemów zarządzania AI, czyli [AI Governance](/czym-jest-ai-governance). A tym samym bardziej odpowiedzialnie podchodzić do procesów biznesowych. Agenci przygotowujący wizyty najważniejszych głów państw drobiazgowo analizują otoczenie, zanim wyrażą zgodę choćby na przejazd kolumny prezydenckiej. Wiedzą, że nieodległy dach budynku może stanowić dobre miejsce dla strzelca wyborowego, a wąskie gardło może zachęcić potencjalnego terrorystę do przeprowadzenia ataku. Jeżeli chcemy skutecznie i efektywnie zarządzać powierzchnią ataku, regularne i ciągłe identyfikowanie oraz klasyfikowanie zasobów powinno wejść nam w krew. > To nie może być jednorazowe wypełnienie Excela. To musi być proces, którego wszyscy się trzymamy. Czasem będzie bardziej zautomatyzowany, na przykład dzięki narzędziom wspierającym takim jak CMDB czy ITAM. Czasem pozostanie manualny, gdy nie mamy wystarczających zasobów albo skala naszej działalności cyfrowej nie uzasadnia automatyzacji. **Ale być musi.** ## Rejestr zasobów jako źródło prawdy Rejestr zasobów najczęściej utożsamiamy z IT, jako rejestr aktywów, albo z działem gospodarki własnej, jako inwentarz organizacji. Z perspektywy zarządzania bezpieczeństwem informacji i AI Governance jest to jednak coś znacznie więcej. To źródło prawdy, swoisty „golden record”: podstawa naszej znajomości organizacji i jej potencjalnych słabych stron. Taki rejestr: - **może zawierać zróżnicowany zakres informacji**, służących identyfikacji nie tylko samego zasobu, ale też jego lokalizacji i potencjalnych ryzyk; - **może mieć różnych właścicieli**, jeżeli nie tworzymy jednego źródła prawdy przypisanego jednej funkcji. Skupienie całości w jednej funkcji bez automatyzacji może być karkołomne i ryzykowne; - **musi być aktualizowany na bieżąco**, gdy pojawiają się ku temu przesłanki. Przykładem jest nowy punkt dostępu powstały po uruchomieniu kolejnej funkcji w oprogramowaniu SaaS. ## Shadow IT i AI: rejestr pomaga, ale nie wystarczy Rejestr pozwala szybciej identyfikować rozwiązania, których nie autoryzowały służby informatyczne. Innymi słowy: pomaga wyłapywać zjawisko **shadow IT / AI**. Samo posiadanie rejestru nie wystarczy. Jeżeli jednak potrafimy wykrywać różne działania, możemy potem szybko sprawdzić, czy wcześniej przeszły właściwą ścieżkę. Pierwotne zbieranie informacji o zasobach bywa czasochłonne. Może wymagać aktywnego udziału człowieka, który najlepiej wie, a przynajmniej powinien wiedzieć, co składa się na całość. Istotny jest również udział architektów, odpowiedzialnych za łączenie części składowych w jedną, spójną bazę. ## Proporcjonalność: pięć pytań na początek Jak do tego podejść? Co wziąć pod uwagę i jak rzeczywiście zastosować zasadę proporcjonalności? Przecież na wszystko nie będzie nas stać. Posłużę się zmodyfikowaną wersją checklisty zaproponowanej przez **R. Eddingsa i MJ Kaufmann** w książce *„Zarządzanie powierzchnią ataku w cyberbezpieczeństwie. Strategie i techniki ochrony zasobów cyfrowych”*. Warto więc zapytać: 1. **Jaka jest skala i rodzaj naszej działalności?** Jakie zasoby możemy przeznaczyć na realizację tego zadania? 2. **W jaki sposób korzystamy z aktywów cyfrowych?** Czy pracownicy używają na przykład własnych urządzeń brzegowych? 3. **Jakie produkty i usługi cyfrowe wykorzystujemy lub dostarczamy?** 4. **Czy możemy sobie pozwolić na automatyzację?** A może pozostają nam procesy manualne? 5. **Jaki rodzaj informacji przetwarzamy?** Jak wygląda to z perspektywy skali ryzyka? To oczywiście moja interpretacja. W praktyce możemy istotnie rozszerzyć tę listę, aby lepiej poznać organizację. Wydaje się jednak, że już taki zestaw wystarczy, by lepiej dobrać konkretne rozwiązanie i właściwie ulokować odpowiedzialność. Tyle na dzisiaj. W kolejnym felietonie z serii poruszymy prawdopodobnie kwestię klasyfikacji informacji. Zobaczymy jednak, co przyniosą kolejne dni. Do zobaczenia!

Powierzchnia ataku i inwentaryzacja

Inwentaryzacja zasobów i ograniczanie powierzchni ataku. Priorytety i budżet bezpieczeństwa według ryzyka, z uwzględnieniem KSC, AI Act i DORA.